❶ 用wireshark抓包怎样抓到ftp（已经建立了服务站点，但就是抓不到ftp）
话说你说的真心不够清楚，不太清楚你想干嘛？如果是你想抓自己电脑到ftp服务器的通信数据，那你就在自己电脑上装个wireshark，选择自己当前正在使用的网卡，在自己跟ftp服务器通信的时候，开始抓包就行了。如果要抓ftp服务器跟所有客户端的通信数据，那就在ftp服务器上装wireshark，选网卡，抓包就行了。
如果是都抓不到数据包，那可能是如下原因：
1、选取的网卡不是当前活动网卡，或者说不是ftp数据流走的那个网卡。
2、当前与ftp服务器没有通信。
❷ 找个windows下的tcp抓包工具（功能：例如linux下的tcpmp）主要就是侦听ftp协议，明白了吧嘿嘿
使用Wireshark/Tshark，FTP、UDP都可以抓，很好用
❸ wiresharp抓包FTP问题
具体不了解ftp协议，但是凡通信肯定是要建立在tcp或ip协议上的，如果没有这些协议来完成网络路由，那么其他协议怎么能完成自己的业务？
❹ 用wireshark抓包分析FTP协议
你是网络管理员吗？你是不是有过这样的经历：在某一天的早上你突然发现网络性能急剧下降，网络服务不能正常提供，服务器访问速度极慢甚至不能访问，网络交换机端口指示灯疯狂地闪烁、网络出口处的路由器已经处于满负荷的工作状态、路由器CPU已经到了百分之百的负荷……重启动后没有几分钟现象又重新出现了。
这是什么问题？设备坏了吗？不可能几台设备同时出问题。一定是有什么大流量的数据文件，耗尽了网络设备的资源，它们是什么？怎么看到它们？这时有经验的网管人员会想到用局域网抓包工具来分析一下。
你一定听说过红色代码、Nimda、冲击波以及震荡波这些臭名昭着的网络杀手。就是它们制造了上述种种恶行。它们来势汹汹，阻塞网络、感染主机，让网络管理员苦不堪言。当网络病毒出现时，如何才能及时发现染毒主机？下面我根据网络病毒都有扫描网络地址的特点，给大家介绍一个很实用的方法：用抓包工具寻找病毒源。
1．安装抓包工具。目的就是用它分析网络数据包的内容。找一个免费的或者试用版的抓包工具并不难。我使用了一种叫做SpyNet3.12 的抓包工具，非常小巧, 运行的速度也很快。安装完毕后我们就有了一台抓包主机。你可以通过SpyNet设置抓包的类型，比如是要捕获IP包还是ARP包，还可以根据目的地址的不同，设置更详细的过滤参数。
2．配置网络路由。你的路由器有缺省网关吗？如果有，指向了哪里？在病毒爆发的时候把缺省网关指向另外一台路由器是很危险的（除非你想搞瘫这台路由器）。在一些企业网里往往仅指出网内地址段的路由，而不加缺省路由，那么就把缺省路由指到抓包主机上吧（它不下地狱谁下地狱？当然这台主机的性能最好是高一点的，否则很容易被病毒冲击而亡）。这样可以让那些病毒主机发出的绝大部分扫描都自动送上门来。或者把网络的出口映像到抓包主机上，所有对外访问的网络包都会被分析到。
3．开始抓包。抓包主机已经设置好了，网络里的数据包也已经送过来了，那么我们看看网络里传输的到底是些什么。打开SpyNet 点击Capture 你会看到好多的数据显示出来，这些就是被捕获的数据包（如图）。
图中的主体窗口里显示了抓包的情况。列出了抓到数据包的序号、时间、源目的MAC地址、源目的IP地址、协议类型、源目的端口号等内容。很容易看出IP地址为10.32.20.71的主机在极短的时间内向大量的不同主机发出了访问请求，并且目的端口都是445。
4.找出染毒主机。从抓包的情况看，主机10.32.20.71值得怀疑。首先我们看一下目的IP地址，这些地址我们网络里存在吗？很可能网络里根本就没有这些网段。其次，正常情况下访问主机有可能在这么短的时间里发起这么多的访问请求吗？在毫秒级的时间内发出几十甚至几百个连接请求，正常吗？显然这台10.32.20.71的主机肯定有问题。再了解一下Microsoft-DS协议，该协议存在拒绝服务攻击的漏洞，连接端口是445，从而进一步证实了我们的判断。这样我们就很容易地找到了染毒主机的IP地址。剩下的工作就是给该主机操作系统打补丁杀病毒了。
既然抓到了病毒包，我们看一下这个数据包二进制的解码内容：
这些数据包的长度都是62个字节。数据包前12个字节包括了目的MAC和源MAC的地址信息，紧跟着的2字节指出了数据包的类型，0800代表的是IP包格式，0806代表ARP包格式。接着的20个字节是封装的IP包头，包括了源、目的IP地址、IP版本号等信息。剩下的28个字节封装的是TCP包头，包括了源、目的端口，TCP链接的状态信息等。这就构成了一个62字节的包。可以看出除了这些包头数据之外，这个包没有携带其他任何的有效数据负荷，所以这是一个TCP要求445端口同步的空包，也就是病毒主机在扫描445端口。一旦染毒主机同步上没有采取防护措施的主机445端口，便会利用系统漏洞传播感染。
❺ 使用FTP服务器的PASV模式 端口设置为60000-60020，为什么抓包抓到的信息显示服务器给分配的端口为5012
IIS FTP里的PASV模式下默认端口范围 1024 - 65535，连接时会从中随机选择到响应。如果该值未指定，或被设置成空字符串，则将使用 Winsock 指定的默认值 1025-5000。如果指定了该属性，则 FTP 将验证的有效范围从 5001 到 65535。要限制这片超大端口的范围,可以用IIS管理实用程序Adsutil.vbs。
C:/Inetpub/AdminScripts/cscript adsutil.vbs set /MSFTPSVC/PassivePortRange "5001-65535"
❻ 用wireshark抓包sftp和ftp的区别
-A 以ASCII码方式显示每一个数据包(不会显示数据包中链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据(nt: 即Handy for capturing web pages).
-X 当分析和打印时, tcpmp 会打印每个包的头部数据, 同时会以16进制和ASCII码形式打印出每个包的数据(但不包括连接层的头部).这对于分析一些新协议的数据包很方便.
-i eth1：指定监听的网络接口，可以使用ifconfig获取网络配置
host 数据包的源或目的地址是指定IP或者主机名
-w 数据包保存到指定文件
❼ 什么是抓包技术，如何利用抓包技术
网络抓包的方法有：
原始套接字RAW_SOCK
WinPcap: The Windows Packet Capture Library
Winsock Service Provider Interface (SPI)
Api Hook
DDK - Windows Driver Development Kit:Filter-Hook Drivers、Firewall-Hook Drivers , NDIS,TDI。
应用层
DHCP �6�1 DNS �6�1 FTP �6�1 Gopher �6�1 HTTP �6�1 IMAP4 �6�1 IRC �6�1 NNTP �6�1
XMPP �6�1 POP3 �6�1 SIP �6�1 SMTP �6�1 SNMP �6�1 SSH �6�1 TELNET �6�1 RPC �6�1 RTP
�6�1 RTCP �6�1 RTSP �6�1 TLS/SSL �6�1 SDP �6�1 SOAP �6�1 BGP �6�1 PPTP �6�1 L2TP �6�1
GTP �6�1 STUN �6�1 NTP
exe程序，
比如ie
表示层
MIME, XDR, SSL, TLS (Not a separate layer)
ws2_32.dll
会话层
Sockets. Session establishment in TCP. SIP. (Not a separate
layer with standardized API.)
SPI
传输层
TCP �6�1 UDP �6�1 DCCP �6�1 SCTP �6�1 RSVP
TDI（不能
截获ICMP
等协议的
数据)
网络层
IP (IPv4 �6�1 IPv6) �6�1 IGMP �6�1 ICMP �6�1 OSPF �6�1 ISIS �6�1 IPsec �6�1 ARP �6�1
RARP �6�1 RIP
NDIS(可以
截获所有
的网络数
据）
链路层
802.11 �6�1 WiFi �6�1 WiMAX �6�1 ATM �6�1 DTM �6�1 Token Ring �6�1 Ethernet �6�1
FDDI �6�1 Frame Relay �6�1 GPRS �6�1 EVDO �6�1 HSPA �6�1 HDLC �6�1 PPP
设备驱动
物理层
Ethernet physical layer �6�1 ISDN �6�1 Modems �6�1 PLC �6�1 SONET/SDH �6�1
G.709 �6�1 OFDM �6�1Optical Fiber �6�1 Coaxial Cable �6�1 Twisted Pair
网卡
现有的各类抓包软件，例如：IRIS，SNIFFER等都是通过把网卡设定为混杂模式来实现将流过的所有数据包都一一捕获。
如果网络是由HUB组成的，则我们可以看到网络中发到任何主机的数据。
但是如果是由交换机组成的就不同了，由于交换机是基于MAC地址来实现帧的转发，源与目的主机间的数据包是单点投送不会被其他接口接收到，因此必须使用ARP欺骗或者端口镜像才能在这种网络中看到想要侦听的数据。
大多数的抓包程序基于开源的WinPcap的程序抓包,但基于WinPcap的程序在抓包性能上较低，在千兆网速下，最多只能达到500Mbps左右，因此很多专业的抓包设备都会用硬件来实现，比如高速采集卡。
❽ 用arpsniffer抓包得到的txt文件为什么是乱码还有TCP80端口为什么嗅探不到用户名及密码，而FTP密码是可以
arpsniffer嗅探得到的东西本来就是乱码，其实源文件里面都是16进制字符，如果你想看懂arp数据包，你就先看看arp数据报的结构，用wiresharp嗅探吧，我觉得比arpsniffer好用。80端口是浏览器端口，一般没有用户名密码，你用浏览器浏览的时候也不用输入用户名和密码才能上网啊，而ftp是20和21，是文件传输系统，在不允许匿名登录的情况下是要输入用户名和密码的，所以能得到它的密码
❾ 如何使用Wireshark 进行监听TCP FTP HTTP三个协议
Wireshark 进行监听TCP FTP HTTP三个协议
一、下载安装wireshark 从http://www.wireshark.org/ 下载安装Windows平台的wireshark，双击安装文件安装即可，在安装过程中注意选择安装winpcap。
二、启动wireshark后，选择工具栏中的快捷键（红色标记的按钮）即可Start anewlivecapture。
建立命令通道的包交互过程中，有很多FTP命令，包括了SYST、PWD、CWD等，是FTP的标准命令，网络上都可以查到。
Wireshark 进行监听TCP FTP HTTP完成。